Azure 備份 幫助保護保存庫中的備份資料，並在生產環境遭到入侵時支援復原。 邏輯隔離保存庫描述了結合隔離與防範破壞性操作的結果。 網路復原基本功能整合多項功能，協助您評估備份威脅並準備復原作業。 支援會依據 Vault、工作量和地區而異。
邏輯隔離斷網保存庫
Azure 備份 將保存庫中的備份資料存放在 Microsoft 管理的 Azure 訂閱與租戶中，與受保護資料所在的生產環境分開。 此邏輯隔離有助於防止遭入侵的工作負載存取備份資料。 這不是實體或離線隔離斷網，也無法取代對可管理保存庫之身分識別的控制。
Azure 備份的資料隔離
外部使用者和訪客工作負載無法直接存取保存庫備份儲存體的內容。 Azure 備份 透過保險庫及其設定的存取控制來管理備份操作，包括還原。
基本邏輯隔離斷網保存庫功能需要多使用者授權 (MUA)；虛刪除和加密預設為開啟，而不可變性則為選用。 在支援的情況下，使用一律開啟的虛刪除或已鎖定的不可變性，保護保存庫中的資料免於遭到破壞性刪除。 這些控制的行為和支援範圍各不相同。
識別與使用者存取的管理與控制
Azure 角色基礎存取控制（Azure RBAC）允許你只分配使用者管理備份操作所需的權限。 Azure 備份 提供三個內建角色，幫助你分工：
- 備份參與者：建立和管理備份，但不能刪除復原服務保存庫或授與其他人存取權。
- 備份操作員：執行備份作業，但不包括移除備份及管理備份政策。
- 備份讀取者：檢視備份管理作業。
了解更多關於 Azure RBAC for Azure 備份 的資訊。
保護備份資料免於過早刪除
軟刪除會延緩永久刪除，並讓已刪除的備份資料在設定的保留期間內保持可恢復性。 預設保留期為14天，最多可延長至180天。 軟刪除保留的前 14 天不會產生額外費用;保留時間越長可能會產生費用。 軟刪除不會提供無限期的保留。 鎖定不可變性會阻擋可能導致恢復點在已設定的保留期或不可變性期間內遺失的操作，且鎖定設定無法逆轉。 不可變性適用於保存庫中受保存庫保護的資料；不適用於 Blob、檔案和磁碟等資源的作業備份。
一律開啟的虛刪除，其強制執行方式和可用性會因保存庫類型、工作負載和區域而異。 選擇保護方式之前，請檢閱預設安全的虛刪除和不可變保存庫支援。
多使用者授權
MUA 為復原服務保存庫與備份保存庫的關鍵操作增加額外授權層。 它使用 Resource Guard，讓獨立授權使用者能核准受保護的操作。 MUA 有助於保護保險庫設定與備份資料免於未經授權的變更。 它不能取代軟刪除或不可變性。 了解使用資源防護的 MUA。
資料的加密
Azure 備份 預設會用 Microsoft 管理的金鑰加密靜態備份資料。 對於支援的 Recovery Services Vault 工作負載，您可以使用存放在 Azure Key Vault 中的客戶管理金鑰。 Azure 備份 透過 HTTPS 和 TLS 1.2 或更新版本保護傳輸中的資料。 Azure 備份 也支援加密磁碟的 Azure 虛擬機備份與還原。 詳情請參閱備份資料加密、客戶管理金鑰，以及加密 Azure 虛擬機的備份與還原。
網路復原基本功能
Cyber Recovery Essentials 著重於準備識別可疑的備份復原點，並將資料還原至支援的復原目的地。 其能力包括大規模安全還原、威脅偵測、跨訂閱還原及跨租戶還原。 每種能力都有其獨立的支援範圍。 威脅偵測與跨租戶還原仍在預覽階段。
Azure 備份 中的威脅偵測
Azure 備份 威脅偵測利用 Microsoft Defender for Servers 的安全訊號來評估 Azure VM 備份恢復點的健康狀況。 它能識別潛在惡意或受勒索軟體感染的恢復點。 它不會直接掃描備份資料。 此功能目前仍在預覽階段。 了解 Azure VM 備份的威脅偵測。
跨訂閱與租戶還原
跨訂閱還原能幫助你將支援的 Azure VM 備份恢復到同一租戶內的另一個訂閱。 詳情與限制請參見 跨訂閱還原。
跨租用戶還原允許您在對應來源與目標保存庫後，將符合資格的保存庫復原點還原到另一個租用戶。 情境包括租戶鎖定、勒索軟體攻擊及租戶整合。 目標租用戶中的資源防護會透過 MUA 保護對應作業。 跨租戶還原目前處於預覽階段，僅支援已文件化的工作負載與區域。 了解 跨租戶還原。
其他安全控制
Azure 備份 也內建安全控制措施，用以預防、偵測及回應安全漏洞。 了解 Azure 備份的安全基準。
Azure VM 備份不需要網際網路連線
Azure VM 備份流量使用Azure骨幹網路，不需要存取你的虛擬網路。 若要備份安全網路中的 Azure VM，您不需要允許 IP 位址或完整網域名稱。
Azure 備份的私人端點
私人端點為支援的復原服務保存庫工作負載提供私人連線，包括 Azure VM 中的 SQL Server 和 SAP Hana、MARS Agent 備份、DPM，以及支援的檔案復原。 關於支援的情境，請參見 Azure 備份 的私有端點。
安全性功能有助於保護混合式備份
Azure 備份 為混合式備份提供安全功能，包括對關鍵作業的額外認證、針對重要操作發送電子郵件通知，以及在上傳前透過密碼片語進行 MARS 備份資料加密。 資料只有在下載後才會解密，且密碼短語不會傳送到 Azure 備份。 對於使用這些安全特性的支援混合備份配置，刪除的備份資料會額外保留 14 天，並維持最低數量的復原點以協助從損毀中恢復。 請保護複雜密碼，以便在需要時還原資料。 了解 混合備份的安全功能。
可疑活動的監視與警示
Azure 備份 提供內建的監控與備份操作警示功能。 使用 備份報告 來追蹤備份與還原活動，並識別趨勢。 欲了解更多監控選項，請參閱 Azure 備份 的監控與報告。
安全性態勢與安全性層級
Azure 備份 的安全性層級概述了對受保護項目套用的安全性設定。 使用這些功能來識別備份環境中的設定缺口。
| 安全等級 | 說明 | Requirements |
|---|---|---|
| 非常好 | 備份會受到保護，防止意外刪除和勒索軟體攻擊。 | 不可變或軟刪除已啟用且不可逆（鎖定或永遠開啟），且保險庫啟用了 MUA。 |
| 良好 | 現有備份可防止意外刪除，且有更好的復原選項。 | 已鎖定不可變性，或已啟用軟刪除。 |
| 尚可 | 關鍵備份操作還有額外的保護層。 | 保存庫已啟用 MUA。 |
| 差 | 僅提供基本防止意外刪除的保護。 | 進階保護功能未啟用，或只啟用了可復原的功能。 |
學習如何 檢視各受保護項目的安全等級。
符合標準化安全性需求
Azure 備份 提供服務控管、認證與證明，協助您評估適用的國家、區域及產業特定需求。 詳細請參閱 Azure 合規方案。